JP6773116B2

JP6773116B2 - Communication method

Info

Publication number: JP6773116B2
Application number: JP2018527677A
Authority: JP
Inventors: 伊藤　博紀; 伊藤　　博紀; アナンドラガワプラサド; クンツアンドレアス; 直明鈴木; 田村　利之; 利之田村
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2016-07-15
Filing date: 2017-07-14
Publication date: 2020-10-21
Anticipated expiration: 2037-07-14
Also published as: US11153751B2; EP3487198A4; CN109479193A; JPWO2018012611A1; US20190246270A1; EP3487198A1; KR20200093086A; CN109479193B; US20200252798A1; KR102140521B1; JP6962432B2; KR102193511B1; WO2018012611A1; KR20190030714A; JP2021010174A; EP3767983A1

Description

本開示は通信システム、加入者情報管理装置、情報取得方法、及び、プログラムに関し、例えばセキュリティ処理を実行する通信システム、加入者情報管理装置、情報取得方法、及び、プログラムに関する。 The present disclosure relates to a communication system, a subscriber information management device, an information acquisition method, and a program, for example, a communication system that executes security processing, a subscriber information management device, an information acquisition method, and a program.

近年、ＩｏＴ（Internet of Things）サービスに関する検討が進められている。ＩｏＴサービスには、ユーザの操作を必要とせず、自律的に通信を実行する端末（以下、ＩｏＴ端末とする）が数多く用いられる。そこで、サービス事業者が多くのＩｏＴ端末を用いてＩｏＴサービスを提供するために、通信事業者等が管理するネットワークにおいて、多くのＩｏＴ端末を効率的に収容することが望まれている。 In recent years, studies on IoT (Internet of Things) services have been underway. For the IoT service, many terminals (hereinafter referred to as IoT terminals) that autonomously execute communication without requiring user operation are used. Therefore, in order for a service provider to provide an IoT service using many IoT terminals, it is desired to efficiently accommodate many IoT terminals in a network managed by a telecommunications carrier or the like.

非特許文献１には、Annex Bにおいて、ネットワークスライシングを適用したコアネットワークの構成が記載されている。ネットワークスライシングは、多くのＩｏＴ端末を効率的に収容するために、提供するサービス毎にコアネットワークを分割する技術である。また、5.1節において、分割されたそれぞれのネットワーク（ネットワークスライスシステム）には、カスタマイズや最適化が必要になることが記載されている。 Non-Patent Document 1 describes the configuration of a core network to which network slicing is applied in Annex B. Network slicing is a technology for dividing a core network for each service to be provided in order to efficiently accommodate many IoT terminals. In addition, Section 5.1 states that each divided network (network slice system) needs to be customized and optimized.

一方、非特許文献２の6.2節には、ＥＰＳ（Evolved Packet System）のセキュリティ処理において用いられる鍵の構成が記載されている。具体的には、ＵＳＩＭ（Universal Subscriber Identity Module）及びＡｕＣ（Authentication Center）が、マスター鍵Ｋを有している。ＵＳＩＭ及びＡｕＣは、マスター鍵Ｋを用いて、ＣＫ（Confidentiality Key）及びＩＫ（Integrity Key）を生成する。 On the other hand, Section 6.2 of Non-Patent Document 2 describes the structure of the key used in the security processing of EPS (Evolved Packet System). Specifically, USIM (Universal Subscriber Identity Module) and AuC (Authentication Center) have a master key K. USIM and AuC use the master key K to generate CK (Confidentiality Key) and IK (Integrity Key).

次に、ＵＥ（User Equipment）及びＨＳＳ（Home Subscriber Server）は、ＣＫ、ＩＫ、及び、ＳＮＩＤ（Serving Network Identity）を用いて、鍵Ｋ_ＡＳＭＥを生成する。ＳＮＩＤは、通信事業者を識別するＩＤである。次に、ＵＥ及びＭＭＥ（Mobility Management Entity）は、鍵Ｋ_ＡＳＭＥを用いて、コアネットワーク及び無線アクセスネットワークのセキュリティ処理に用いられる鍵を生成する。Next, the UE (User Equipment) and the HSS (Home Subscriber Server) generate a key K _ASME using CK, IK, and SSID (Serving Network Identity). The SNID is an ID that identifies a telecommunications carrier. Next, the UE and the MME (Mobility Management Entity) use the key _KASME to generate a key used for security processing of the core network and the radio access network.

ＥＰＳにおいては、このようにして生成された鍵を用いて、メッセージの暗号化及びメッセージの改ざん防止（メッセージの完全性保証）等のセキュリティ処理が実行される。 In EPS, security processing such as message encryption and message tampering prevention (message integrity guarantee) is executed using the key generated in this way.

3GPP TR23.799 V0.2.0 (2016-2) Annex B, 5.1 Key issue 1: Support of network slicing3GPP TR23.799 V0.2.0 (2016-2) Annex B, 5.1 Key issue 1: Support of network slicing 3GPP TS 33.401 V13.2.0 (2016-03) 6.2 EPS key hierarchy3GPP TS 33.401 V13.2.0 (2016-03) 6.2 EPS key hierarchy

非特許文献１に開示されているネットワークスライシングが適用された場合、それぞれのネットワークスライスシステムの独立性を高め、セキュリティを向上させるために、ネットワークスライスシステム毎に異なる鍵を使用することが想定される。しかし、非特許文献２に開示されている鍵の構成は、ＵＥが、コアネットワーク内においては、１つの鍵Ｋ_ＡＳＭＥを使用することを示している。そのため、非特許文献２に開示されている鍵の構成を、ネットワークスライシングが適用されたコアネットワークに用いても、ネットワークスライスシステム毎に異なる鍵を生成することができない。そのため、それぞれのネットワークスライスシステムの独立性を高め、セキュリティを向上させることができないという問題がある。When the network slicing disclosed in Non-Patent Document 1 is applied, it is assumed that different keys are used for each network slicing system in order to increase the independence of each network slicing system and improve security. .. However, the key configuration disclosed in Non-Patent Document 2 indicates that the UE uses one key _KASME in the core network. Therefore, even if the key configuration disclosed in Non-Patent Document 2 is used for the core network to which network slicing is applied, it is not possible to generate a different key for each network slice system. Therefore, there is a problem that the independence of each network slicing system cannot be improved and the security cannot be improved.

本開示の目的は、ネットワークスライシングがコアネットワークに適用された場合に、分割されたそれぞれのネットワーク（ネットワークスライスシステム）において高いセキュリティレベルを維持することができる通信システム、加入者情報管理装置、情報取得方法、及び、プログラムを提供することにある。 An object of the present disclosure is a communication system, a subscriber information management device, and information acquisition that can maintain a high security level in each divided network (network slice system) when network slicing is applied to a core network. It is to provide methods and programs.

本開示の第１の態様にかかる通信システムは、通信端末の加入者情報を管理する加入者情報管理装置と、前記通信端末と、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報とを関連付けて管理するセキュリティ装置と、を備え、前記加入者情報管理装置は、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得するものである。 The communication system according to the first aspect of the present disclosure is used in a subscriber information management device that manages subscriber information of a communication terminal, the communication terminal, and at least one network slice system in which the communication terminal can be used. The subscriber information management device includes a security device that manages the security information in association with the security information, and the subscriber information management device uses the identification information of the communication terminal and the identification information of the network slice system used by the communication terminal from the security device. It acquires security information used in the network slice system used by the communication terminal.

本開示の第２の態様にかかる加入者情報管理装置は、通信端末、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と通信する通信部と、前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理する管理部と、を備え、前記通信部は、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得するものである。 The subscriber information management device according to the second aspect of the present disclosure communicates with a communication terminal and a security device that manages the security information used in at least one network slice system available to the communication terminal in association with each other. The communication unit includes a communication unit and a management unit that manages identification information of the network slice system associated with the security device. The communication unit includes identification information of the communication terminal and a network slice system used by the communication terminal. The identification information is used to acquire the security information used in the network slice system used by the communication terminal from the security device.

本開示の第３の態様にかかる情報取得方法は、通信端末、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と、前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理し、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得するものである。 The information acquisition method according to the third aspect of the present disclosure includes a security device that manages a communication terminal and security information used in at least one network slice system that can be used by the communication terminal in association with each other, and the security device. The network slice system used by the communication terminal from the security device by managing the identification information of the network slice system associated with the security device and using the identification information of the communication terminal and the identification information of the network slice system used by the communication terminal. This is to acquire the security information used in.

本開示の第４の態様にかかるプログラムは、通信端末、及び、前記通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報、を関連付けて管理するセキュリティ装置と、前記セキュリティ装置と関連付けられた前記ネットワークスライスシステムの識別情報を管理し、前記通信端末の識別情報及び前記通信端末が利用するネットワークスライスシステムの識別情報を用いて前記セキュリティ装置から前記通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得することをコンピュータに実行させるものである。 The program according to the fourth aspect of the present disclosure associates a security device that manages the communication terminal and security information used in at least one network slice system that can be used by the communication terminal with the security device. The identification information of the network slice system is managed, and the identification information of the communication terminal and the identification information of the network slice system used by the communication terminal are used in the network slice system used by the communication terminal from the security device. It causes the computer to acquire the security information to be obtained.

本開示により、ネットワークスライシングがコアネットワークに適用された場合に、分割されたそれぞれのネットワーク（ネットワークスライスシステム）において高いセキュリティレベルを維持することができる通信システム、加入者情報管理装置、情報取得方法、及び、プログラムを提供することができる。 According to the present disclosure, when network slicing is applied to a core network, a communication system, a subscriber information management device, an information acquisition method, which can maintain a high security level in each divided network (network slice system), And the program can be provided.

実施の形態１にかかる通信システムの構成図である。It is a block diagram of the communication system which concerns on Embodiment 1. FIG. 実施の形態２にかかる通信システムの構成図である。It is a block diagram of the communication system which concerns on Embodiment 2. FIG. 実施の形態２にかかるＡｕＣの構成図である。It is a block diagram of AuC which concerns on Embodiment 2. FIG. 実施の形態２にかかるＡｕＣが管理する情報を示す図である。It is a figure which shows the information managed by AuC which concerns on Embodiment 2. FIG. 実施の形態２にかかるＨＳＳの構成図である。It is a block diagram of HSS which concerns on Embodiment 2. FIG. 実施の形態２にかかるＨＳＳが管理する情報を示す図である。It is a figure which shows the information managed by HSS which concerns on Embodiment 2. FIG. 実施の形態２にかかるＵＥの構成図である。It is a block diagram of the UE which concerns on Embodiment 2. FIG. 実施の形態２にかかるＡｔｔａｃｈ処理の流れを示す図である。It is a figure which shows the flow of the Attach process which concerns on Embodiment 2. 実施の形態２にかかるＡＫＡ処理の流れを示す図である。It is a figure which shows the flow of AKA processing which concerns on Embodiment 2. 実施の形態２にかかるＡｕＣにおけるサービス鍵の導出を説明する図である。It is a figure explaining the derivation of the service key in AuC which concerns on Embodiment 2. FIG. 実施の形態２にかかるＵＥにおけるサービス鍵の導出を説明する図である。It is a figure explaining the derivation of the service key in the UE which concerns on Embodiment 2. FIG. 実施の形態２にかかるＡｕＣが管理する情報を示す図である。It is a figure which shows the information managed by AuC which concerns on Embodiment 2. FIG. 実施の形態３にかかる通信システムの構成図である。It is a block diagram of the communication system which concerns on Embodiment 3. FIG. それぞれの実施の形態にかかるＵＥの構成図である。It is a block diagram of the UE which concerns on each embodiment. それぞれの実施の形態にかかるＡｕＣ及びＨＳＳの構成図である。It is a block diagram of AuC and HSS which concerns on each embodiment.

（実施の形態１）
以下、図面を参照して本開示の実施の形態について説明する。図１の通信システムは、加入者情報管理装置１０及びセキュリティ装置２０を有している。加入者情報管理装置１０及びセキュリティ装置２０は、プロセッサがメモリに格納されたプログラムを実行することによって動作するコンピュータ装置であってもよい。(Embodiment 1)
Hereinafter, embodiments of the present disclosure will be described with reference to the drawings. The communication system of FIG. 1 has a subscriber information management device 10 and a security device 20. The subscriber information management device 10 and the security device 20 may be computer devices that are operated by the processor executing a program stored in the memory.

加入者情報管理装置１０は、少なくとも１つの通信端末の加入者情報を管理する。通信端末は、例えば、携帯電話端末、スマートフォン端末、通信機能を有するコンピュータ装置等であってもよい。通信端末は、ＩｏＴ端末、Ｍ２Ｍ（Machine to Machine）端末、もしくは、ＭＴＣ（Machine Type Communication）端末等であってもよい。 The subscriber information management device 10 manages the subscriber information of at least one communication terminal. The communication terminal may be, for example, a mobile phone terminal, a smartphone terminal, a computer device having a communication function, or the like. The communication terminal may be an IoT terminal, an M2M (Machine to Machine) terminal, an MTC (Machine Type Communication) terminal, or the like.

加入者情報は、例えば、通信端末を利用するユーザに関する契約情報、通信端末の位置情報、もしくは、通信端末を識別する情報等であってもよい。 The subscriber information may be, for example, contract information about a user who uses the communication terminal, location information of the communication terminal, information for identifying the communication terminal, or the like.

セキュリティ装置２０は、通信端末を識別する情報（通信端末の識別情報）と、通信端末が利用可能な少なくとも１つのネットワークスライスシステムにおいて用いられるセキュリティ情報とを関連付けて管理する。セキュリティ情報は、ネットワークスライスシステムごとに固有の情報である。セキュリティ情報は、通信端末を認証する際に用いられる鍵情報であってもよい。セキュリティ情報は、データの暗号化もしくは完全性保証処理を実行する際に用いられる鍵情報等であってもよい。セキュリティ情報は、認証もしくは暗号化等に用いられる鍵情報を生成するために用いるマスター鍵であってもよい。セキュリティ情報は、セキュリティ処理を実行する際に用いられるセキュリティアルゴリズム等であってもよい。 The security device 20 manages the information for identifying the communication terminal (identification information of the communication terminal) in association with the security information used in at least one network slice system that can be used by the communication terminal. Security information is information unique to each network slice system. The security information may be key information used when authenticating a communication terminal. The security information may be key information or the like used when executing data encryption or integrity guarantee processing. The security information may be a master key used to generate key information used for authentication, encryption, or the like. The security information may be a security algorithm or the like used when executing security processing.

加入者情報管理装置１０は、通信端末の識別情報及び通信端末が利用するネットワークスライスシステムの識別情報を用いて、セキュリティ装置２０から、通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得する。 The subscriber information management device 10 acquires the security information used in the network slice system used by the communication terminal from the security device 20 by using the identification information of the communication terminal and the identification information of the network slice system used by the communication terminal. ..

以上説明したように、図１の通信システムを用いることによって、加入者情報管理装置１０は、通信端末が利用するネットワークスライスシステムにおいて用いられるセキュリティ情報を取得することができる。そのため、加入者情報管理装置１０は、通信端末が利用するネットワークスライスシステム毎に異なるセキュリティ情報を用いることができる。その結果、ネットワークスライスシステムの独立性を高め、コアネットワーク全体のセキュリティを向上させることができる。 As described above, by using the communication system of FIG. 1, the subscriber information management device 10 can acquire the security information used in the network slice system used by the communication terminal. Therefore, the subscriber information management device 10 can use different security information for each network slice system used by the communication terminal. As a result, the independence of the network slice system can be increased and the security of the entire core network can be improved.

（実施の形態２）
図２を用いて本開示の実施の形態２にかかる通信システムの構成例について説明する。図２の通信システムは、コアネットワーク１００、５ＧＲＡＮ（Radio Access Network）８０、及び、ＵＥ（User Equipment）９０を有している。コアネットワーク１００は、例えば、３ＧＰＰ（3rd Generation Partnership Project）において規定されているネットワークであってもよい。(Embodiment 2)
A configuration example of the communication system according to the second embodiment of the present disclosure will be described with reference to FIG. The communication system of FIG. 2 has a core network 100, a 5G RAN (Radio Access Network) 80, and a UE (User Equipment) 90. The core network 100 may be, for example, a network defined in 3GPP (3rd Generation Partnership Project).

ＵＥは、３ＧＰＰにおいて通信端末の総称として用いられる。ＵＥ９０は図２において１つのみ示されているが、図２の通信システムは複数のＵＥ９０を備えていてもよい。 UE is used as a general term for communication terminals in 3GPP. Although only one UE 90 is shown in FIG. 2, the communication system of FIG. 2 may include a plurality of UE 90s.

５ＧＲＡＮ８０は、ＵＥ９０へ無線回線を提供するネットワークである。５ＧＲＡＮ８０は、例えば、基地局を有してもよく、さらに、基地局を制御する基地局制御装置等を有してもよい。５ＧＲＡＮ８０は、例えば、低遅延及び広帯域な無線周波数等を実現する次世代のＲＡＮである。次世代に用いられるＲＡＮとして、５ＧＲＡＮと称しているが、次世代に用いられるＲＡＮの名称は、５ＧＲＡＮに限定されない。 The 5G RAN 80 is a network that provides a wireless line to the UE 90. The 5G RAN 80 may have, for example, a base station, and may further have a base station control device for controlling the base station and the like. The 5G RAN 80 is a next-generation RAN that realizes, for example, low delay and wide band radio frequency. The RAN used for the next generation is called 5G RAN, but the name of the RAN used for the next generation is not limited to 5G RAN.

コアネットワーク１００の構成例について説明する。コアネットワーク１００は、ＨＳＳ（Home Subscriber Server）３０、ＡｕＣ（Authentication Center）４０、ＡｕＣ５０、ＡｕＣ６０、ＣＰＦ（Control Plane Function）エンティティ７０（以下、ＣＰＦ７０とする）、ＮＳ（Nework Slice）システム１１０、ＮＳシステム１２０、及び、ＮＳシステム１３０を有している。各ＡｕＣは、ＨＳＳ３０と同じ装置内にあっても良く、ＡｕＣの一部の機能が、ＨＳＳ３０に実装されてもよい。また、各ＡｕＣは、各ＮＳシステム内に合っても良い。 A configuration example of the core network 100 will be described. The core network 100 includes HSS (Home Subscriber Server) 30, AuC (Authentication Center) 40, AuC50, AuC60, CPF (Control Plane Function) entity 70 (hereinafter referred to as CPF70), NS (Nework Slice) system 110, and NS system. It has 120 and an NS system 130. Each AuC may be in the same device as the HSS 30, and some functions of the AuC may be implemented in the HSS 30. Also, each AuC may fit within each NS system.

ＨＳＳ３０は、図１の加入者情報管理装置１０に相当する。ＨＳＳ３０は、ＵＥ９０に関する加入者情報を管理する。また、ＨＳＳ３０は、ＨＬＲ（Home Location Register）に置き換えられてもよい。ＨＳＳ３０は、鍵管理機能を有する。また、ＨＳＳ３０は、それぞれのＮＳシステムに、鍵情報を送信する。鍵管理機能とは、ＵＥに関する鍵情報をどのノード装置もしくはどのＮＳシステムへ送信したかを管理する機能である。さらに、鍵管理機能は、ノード装置もしくはＮＳシステムへ送信した鍵情報の種類等についても管理する機能である。また、ＨＳＳ３０は、鍵管理機能の一部の機能を有し、その他の機能をＨＳＳ３０と異なる装置が有してもよい。もしくは、鍵管理機能に関する全ての機能を、ＨＳＳ３０と異なる装置が有してもよい。 The HSS 30 corresponds to the subscriber information management device 10 of FIG. The HSS 30 manages subscriber information about the UE 90. Further, the HSS 30 may be replaced with an HLR (Home Location Register). The HSS 30 has a key management function. Further, the HSS 30 transmits the key information to each NS system. The key management function is a function for managing which node device or which NS system the key information about the UE is transmitted to. Further, the key management function is a function of managing the type of key information transmitted to the node device or the NS system. Further, the HSS 30 has some functions of the key management function, and other functions may be provided by a device different from the HSS 30. Alternatively, a device different from the HSS 30 may have all the functions related to the key management function.

ＡｕＣ４０、ＡｕＣ５０、及びＡｕＣ６０（以下、ＡｕＣ４０等とする）各々は、図１のセキュリティ装置２０に相当する。ＡｕＣ４０等は、ＵＥ９０に関するセキュリティ処理に用いる鍵情報を管理する。さらに、ＡｕＣ４０等は、ＵＥ９０に関するセキュリティ処理に関するパラメータを管理する。セキュリティ処理に関するパラメータは、例えば、ＮＡＳ（Non Access Stratum）の完全性保証処理、機密性処理、及び暗号化処理に用いられるパラメータであってもよい。ＮＡＳは、ＵＥ９０等とコアネットワーク１００との間の通信に用いられるレイヤである。セキュリティ処理に関するパラメータは、ＡＳ（Access Stratum）の完全性保証処理、機密性処理、及び暗号化処理に用いられるパラメータであってもよい。ＡＳは、５ＧＲＡＮ８０と、ＵＥ９０との間の通信に用いられるレイヤである。 Each of AuC40, AuC50, and AuC60 (hereinafter referred to as AuC40, etc.) corresponds to the security device 20 of FIG. AuC40 and the like manage key information used for security processing related to UE 90. Further, AuC40 and the like manage parameters related to security processing related to the UE 90. The parameters related to the security process may be, for example, parameters used in the integrity assurance process, the confidentiality process, and the encryption process of NAS (Non Access Stratum). NAS is a layer used for communication between the UE 90 and the like and the core network 100. The parameters related to the security process may be parameters used for the integrity assurance process, the confidentiality process, and the encryption process of AS (Access Stratum). The AS is a layer used for communication between the 5G RAN80 and the UE 90.

セキュリティ処理に関するパラメータは、鍵の長さを規定するパラメータであってもよい。鍵の長さは、例えば、ビット数によって示される。セキュリティ処理に関するパラメータは、暗号化アルゴリズム、鍵生成アルゴリズム、もしくは、認証アルゴリズム等を示すパラメータであってもよい。 The parameter related to security processing may be a parameter that defines the key length. The key length is indicated by, for example, the number of bits. The parameter related to the security process may be a parameter indicating an encryption algorithm, a key generation algorithm, an authentication algorithm, or the like.

ＣＰＦ７０は、コアネットワーク１００内において、ＵＥ９０に関するＣ−Ｐｌａｎｅデータを処理する装置である。Ｃ−Ｐｌａｎｅデータは、制御データと称されてもよい。ＣＰＦ７０は、制御データを処理する装置であるため制御装置と称されてもよい。さらに、ＣＰＦ７０は、３ＧＰＰにおいて規定されているＭＭＥ（Mobility Management Entity）に相当する機能を有してもよい。 The CPF 70 is a device that processes C-Plane data related to the UE 90 in the core network 100. The C-Plane data may be referred to as control data. The CPF 70 may be referred to as a control device because it is a device that processes control data. Further, the CPF 70 may have a function corresponding to the MME (Mobility Management Entity) defined in 3GPP.

ＮＳシステム１１０は、ＮＳシステム１２０及びＮＳシステム１３０と異なるサービスを提供するために用いられる通信システムである。また、ＮＳシステム１２０は、ＮＳシステム１３０と異なるサービスを提供するために用いられる通信システムである。それぞれのＮＳシステムが提供するサービスは、例えば、自動運転サービス、スマートメータに関するサービス、もしくは、自動販売機の管理サービス等であってもよい。ＮＳシステムが提供するサービスは、これらのサービスに限定されず、様々なサービスが存在する。 The NS system 110 is a communication system used to provide services different from those of the NS system 120 and the NS system 130. Further, the NS system 120 is a communication system used to provide a service different from that of the NS system 130. The service provided by each NS system may be, for example, an automatic driving service, a service related to a smart meter, a vending machine management service, or the like. The services provided by the NS system are not limited to these services, and there are various services.

図２においては、ＣＰＦ７０は、コアネットワーク１００内に配置され、ＮＳシステム１１０、ＮＳシステム１２０、及びＮＳシステム１３０のいずれにも属していないことを示している。しかし、ＣＰＦ７０は、ＮＳシステム１１０、ＮＳシステム１２０、及びＮＳシステム１３０のいずれかに属してもよく、もしくは、ＮＳシステム１１０、ＮＳシステム１２０、及びＮＳシステム１３０のそれぞれが、ＣＰＦ７０を有してもよい。 In FIG. 2, it is shown that the CPF 70 is located in the core network 100 and does not belong to any of the NS system 110, the NS system 120, and the NS system 130. However, the CPF 70 may belong to any of the NS system 110, the NS system 120, and the NS system 130, or the NS system 110, the NS system 120, and the NS system 130 may each have a CPF 70. Good.

続いて、図３を用いて本開示の実施の形態２にかかるＡｕＣ４０の構成例について説明する。ＡｕＣ５０及びＡｕＣ６０は、ＡｕＣ４０と同様の構成を有している。ＡｕＣ４０は、通信部４１、セキュリティ情報管理部４２、及び、ＮＳ鍵生成部４３を有している。通信部４１は、送信部（transmitter）及び受信部(receiver)であってもよい。 Subsequently, a configuration example of AuC40 according to the second embodiment of the present disclosure will be described with reference to FIG. AuC50 and AuC60 have the same configuration as AuC40. The AuC40 has a communication unit 41, a security information management unit 42, and an NS key generation unit 43. The communication unit 41 may be a transmitter unit (transmitter) and a receiver unit (receiver).

通信部４１、セキュリティ情報管理部４２、及びＮＳ鍵生成部４３は、プロセッサがメモリに格納されたプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。通信部４１、セキュリティ情報管理部４２、及びＮＳ鍵生成部４３は、回路もしくはチップ等のハードウェアであってもよい。 The communication unit 41, the security information management unit 42, and the NS key generation unit 43 may be software or modules whose processing is executed by the processor executing a program stored in the memory. The communication unit 41, the security information management unit 42, and the NS key generation unit 43 may be hardware such as a circuit or a chip.

通信部４１は、主に、ＨＳＳ３０との間においてデータを伝送する。 The communication unit 41 mainly transmits data to and from the HSS 30.

セキュリティ情報管理部４２は、ＵＥ９０毎に関連付けられたセキュリティ情報を管理する。ここで、図４を用いて、セキュリティ情報管理部４２が管理する情報について説明する。セキュリティ情報管理部４２は、ＩＭＳＩ（International Mobile Subscriber Identity）と、ＮＳＩＤ（Network Slice Identity）及びマスター鍵Ｋとを関連付けて管理している。ＩＭＳＩは、ＵＥ９０を識別するために用いられる識別情報である。ＮＳＩＤは、ＮＳシステムを識別するために用いられる識別情報である。 The security information management unit 42 manages the security information associated with each UE 90. Here, the information managed by the security information management unit 42 will be described with reference to FIG. The security information management unit 42 manages the IMSI (International Mobile Subscriber Identity) in association with the NSID (Network Slice Identity) and the master key K. The IMSI is identification information used to identify the UE 90. The NSID is identification information used to identify the NS system.

図４は、ＩＭＳＩが００１であるＵＥが、ＮＳシステム１１０及びＮＳシステム１２０を利用することができることを示している。さらに、図４は、ＩＭＳＩが００１であるＵＥに対して、ＮＳシステム１１０におけるセキュリティ処理に用いられるマスター鍵Ｋａ＿００１が割り当てられ、ＮＳシステム１２０におけるセキュリティ処理に用いられるマスター鍵Ｋｂ＿００１が割り当てられていることを示している。ＩＭＳＩが００２であるＵＥに関しても、利用可能なＮＳシステムと、そのＮＳシステムにおけるセキュリティ処理に用いられるマスター鍵Ｋとが関連付けられている。 FIG. 4 shows that a UE with an IMSI of 001 can utilize the NS system 110 and the NS system 120. Further, FIG. 4 shows that the UE having the IMSI of 001 is assigned the master key Ka_001 used for the security processing in the NS system 110 and the master key Kb_001 used for the security processing in the NS system 120. Is shown. For the UE whose IMSI is 002, the available NS system and the master key K used for security processing in the NS system are associated with each other.

図４は、セキュリティ情報管理部４２が複数のＮＳシステムに関するマスター鍵を管理することを示しているが、セキュリティ情報管理部４２は、一つのＮＳシステムに関するマスター鍵のみを管理してもよい。例えば、ＡｕＣ４０は、ＮＳシステム１１０に関するマスター鍵Ｋを管理する装置として用いられてもよい。この場合、セキュリティ情報管理部４２は、ＮＳＩＤに関する情報を管理せず、ＩＭＳＩとマスター鍵Ｋとを関連付けて管理してもよい。 FIG. 4 shows that the security information management unit 42 manages the master keys related to a plurality of NS systems, but the security information management unit 42 may manage only the master keys related to one NS system. For example, AuC40 may be used as a device for managing the master key K for the NS system 110. In this case, the security information management unit 42 may manage the IMSI and the master key K in association with each other without managing the information related to the NSID.

図３に戻り、ＮＳ鍵生成部４３は、マスター鍵Ｋを用いて、それぞれのＮＳシステムにおいて用いられるサービス鍵Ｋｓｖを生成する。例えば、ＮＳ鍵生成部４３は、マスター鍵Ｋａ＿００１を用いて、ＩＭＳＩが００１であるＵＥが、ＮＳシステム１１０において用いられるサービス鍵Ｋｓｖ−Ａを生成する。さらに、ＮＳ鍵生成部４３は、マスター鍵Ｋｂ＿００１を用いて、ＩＭＳＩが００１であるＵＥが、ＮＳシステム１２０において用いられるサービス鍵Ｋｓｖ−Ｂを生成する。ＩＭＳＩが００２であるＵＥに対しても同様に、サービス鍵Ｋｓｖを生成する。 Returning to FIG. 3, the NS key generation unit 43 uses the master key K to generate the service key Ksv used in each NS system. For example, the NS key generation unit 43 uses the master key Ka_001 to generate the service key Ksv-A used in the NS system 110 by the UE having the IMSI of 001. Further, the NS key generation unit 43 uses the master key Kb_001 to generate the service key Ksv-B used in the NS system 120 by the UE having the IMSI of 001. Similarly, the service key Ksv is generated for the UE having the IMSI of 002.

図５を用いて本開示の実施の形態２にかかるＨＳＳ３０の構成例について説明する。ＨＳＳ３０は、通信部３１及び情報管理部３２を有している。通信部３１及び情報管理部３２は、プロセッサがメモリに格納されたプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。もしくは、通信部３１及び情報管理部３２は、回路もしくはチップ等のハードウェアであってもよい。通信部３１は、送信部（transmitter）及び受信部(receiver)であってもよい。 A configuration example of the HSS 30 according to the second embodiment of the present disclosure will be described with reference to FIG. The HSS 30 has a communication unit 31 and an information management unit 32. The communication unit 31 and the information management unit 32 may be software or modules whose processing is executed by the processor executing a program stored in the memory. Alternatively, the communication unit 31 and the information management unit 32 may be hardware such as a circuit or a chip. The communication unit 31 may be a transmitter unit (transmitter) and a receiver unit (receiver).

通信部３１は、ＡｕＣ４０、ＡｕＣ５０、及びＡｕＣ６０との間においてデータを伝送する。さらに、通信部３１は、ＮＳシステム１１０を構成するノード装置、ＮＳシステム１２０を構成するノード装置、及び、ＮＳシステム１３０を構成するノード装置との間においてデータを伝送する。 The communication unit 31 transmits data to and from AuC40, AuC50, and AuC60. Further, the communication unit 31 transmits data between the node device constituting the NS system 110, the node device constituting the NS system 120, and the node device constituting the NS system 130.

情報管理部３２は、ＡｕＣ４０等とＮＳシステムとを関連付けた情報を管理している。ここで、図６を用いて、情報管理部３２が管理する情報について説明する。図６は、ＡｕＣ４０と、ＮＳシステム１１０〜ＮＳシステム１３０とが関連付けられており、さらに、ＡｕＣ５０とＮＳシステム１４０〜ＮＳシステム１６０とが関連付けられていることを示している。ＡｕＣ４０とＮＳシステム１１０〜ＮＳシステム１３０とが関連付けられているとは、ＡｕＣ４０が、ＵＥ毎に、ＮＳシステム１１０〜ＮＳシステム１３０においてセキュリティ処理に用いられるマスター鍵Ｋを管理していることである。 The information management unit 32 manages information associated with the AuC40 or the like and the NS system. Here, the information managed by the information management unit 32 will be described with reference to FIG. FIG. 6 shows that the AuC40 is associated with the NS systems 110-10 to the NS system 130, and that the AuC50 is further associated with the NS systems 140 to 160. The AuC40 and the NS system 110 to the NS system 130 are associated with each other because the AuC40 manages the master key K used for security processing in the NS system 110 to the NS system 130 for each UE.

図７を用いて本開示の実施の形態２にかかるＵＥ９０の構成例について説明する。ＵＥ９０は、通信部９１及びＮＳ鍵生成部９２を有している。通信部９１及びＮＳ鍵生成部９２は、プロセッサがメモリに格納されたプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。もしくは、通信部９１及びＮＳ鍵生成部９２は、回路もしくはチップ等のハードウェアであってもよい。通信部９１は、送信部（transmitter）及び受信部(receiver)であってもよい。 A configuration example of the UE 90 according to the second embodiment of the present disclosure will be described with reference to FIG. 7. The UE 90 has a communication unit 91 and an NS key generation unit 92. The communication unit 91 and the NS key generation unit 92 may be software or modules whose processing is executed by the processor executing a program stored in the memory. Alternatively, the communication unit 91 and the NS key generation unit 92 may be hardware such as a circuit or a chip. The communication unit 91 may be a transmitter unit (transmitter) and a receiver unit (receiver).

通信部９１は、主に、５ＧＲＡＮ８０を構成する基地局等との間においてデータ伝送を行う。 The communication unit 91 mainly transmits data to and from a base station or the like constituting the 5G RAN 80.

ＮＳ鍵生成部９２は、マスター鍵Ｋを用いて、それぞれのＮＳシステムにおいて用いられるサービス鍵Ｋｓｖを生成する。例えば、ＮＳ鍵生成部９２は、ＮＳシステム１１０及びＮＳシステム１２０を利用することができるとする。この場合、ＮＳ鍵生成部９２は、マスター鍵Ｋａ＿００１を用いて、ＮＳシステム１１０において用いるサービス鍵Ｋｓｖ−Ａを生成し、マスター鍵Ｋｂ＿００１を用いて、ＮＳシステム１２０において用いるサービス鍵Ｋｓｖ−Ｂを生成する。 The NS key generation unit 92 uses the master key K to generate the service key Ksv used in each NS system. For example, it is assumed that the NS key generation unit 92 can use the NS system 110 and the NS system 120. In this case, the NS key generation unit 92 uses the master key Ka_001 to generate the service key Ksv-A used in the NS system 110, and uses the master key Kb_001 to generate the service key Ksv-B used in the NS system 120. To do.

例えば、通信部９１は、複数のＳＩＭを有し、ＳＩＭ毎に異なるマスター鍵Ｋを管理してもよい。また、それぞれのＳＩＭは、いずれかのＮＳシステムと対応付けられていてもよい。 For example, the communication unit 91 may have a plurality of SIMs and manage different master keys K for each SIM. Further, each SIM may be associated with any NS system.

図８を用いて本開示の実施の形態２にかかるＵＥ９０に関するＡｔｔａｃｈ処理の流れについて説明する。 The flow of Attach processing relating to the UE 90 according to the second embodiment of the present disclosure will be described with reference to FIG.

はじめに、ＵＥ９０は、５ＧＲＡＮ８０との間において接続処理を開始する（Ｓ１１）。例えば、ＵＥ９０は、５ＧＲＡＮ８０に配置されている基地局と通信を行うために、無線通信回線を介して基地局と接続する。 First, the UE 90 starts a connection process with the 5G RAN 80 (S11). For example, the UE 90 connects to the base station via a wireless communication line in order to communicate with the base station arranged in the 5G RAN 80.

次に、ＵＥ９０は、５ＧＲＡＮ８０を介してＣＰＦ７０へAttach requestメッセージを送信する（Ｓ１２）。ＵＥ９０は、例えば、ＮＳシステム１１０において提供されているサービスを利用する。この場合、ＵＥ９０は、ＵＥ９０のＩＭＳＩ及びＮＳシステム１１０を示すＮＳＩＤ、を設定したAttach requestメッセージをＣＰＦ７０に送信する。ＵＥ９０は、複数のＮＳＩＤを設定しても構わない。 Next, the UE 90 transmits an Attach request message to the CPF 70 via the 5G RAN 80 (S12). The UE 90 uses, for example, the service provided by the NS system 110. In this case, the UE 90 transmits an Attach request message in which the IMSI of the UE 90 and the NSID indicating the NS system 110 are set to the CPF 70. The UE 90 may set a plurality of NSIDs.

次に、ＵＥ９０、ＣＰＦ７０、ＨＳＳ３０、及び、ＡｕＣ４０の間においてＡＫＡ（Authentication and Key Agreement）処理を実行する（Ｓ１３）。ステップＳ１３におけるＡＫＡ処理を実行することによって、ＵＥ９０において生成されたサービス鍵Ｋｓｖ−Ａと、ＡｕＣ４０において生成されたサービス鍵Ｋｓｖ−Ａとが一致することを、ＵＥ９０及びＨＳＳ３０において確認することができる。ＵＥ９０がAttach requestメッセージに複数のＮＳＩＤを設定した場合、ＮＳシステム毎に、サービス鍵Ｋｓｖが生成される。この場合、ステップＳ１３のＡＫＡ処理において、ＵＥ９０においてＮＳシステム毎に生成されたサービス鍵Ｋｓｖと、ＡｕＣ４０においてＮＳシステム毎に生成されたサービス鍵Ｋｓｖとが一致するかを確認する。ＵＥ９０、ＣＰＦ７０、ＨＳＳ３０、及び、ＡｕＣ４０の間において、ＡＫＡ以外の処理が実行されることによって、サービス鍵Ｋｓｖの認証が行われててもよい。 Next, the AKA (Authentication and Key Agreement) process is executed between the UE 90, the CPF 70, the HSS 30 and the Au C40 (S13). By executing the AKA process in step S13, it can be confirmed in the UE 90 and the HSS 30 that the service key Ksv-A generated in the UE 90 and the service key Ksv-A generated in the Au C40 match. When the UE 90 sets a plurality of NSIDs in the Attach request message, a service key Ksv is generated for each NS system. In this case, in the AKA process in step S13, it is confirmed whether the service key Ksv generated for each NS system in the UE 90 matches the service key Ksv generated for each NS system in the AuC40. The service key Ksv may be authenticated by executing a process other than AKA between the UE 90, CPF 70, HSS 30, and AuC 40.

ＵＥ９０は、ステップＳ１３におけるＡＫＡ処理が実行された後に、サービス鍵Ｋｓｖ−Ａを用いて、ＮＳシステム１１０において提供されているサービスを利用することができる。例えば、ＵＥ９０が、ＮＳシステム１１０が有する装置に対してアクセスする際に、ＵＥ９０は、ＵＥ９０を操作するユーザから入力されたパスワード情報等を、ＮＳシステム１１０が有する装置へ送信してもよい。ＮＳシステム１１０が有する装置は、送信されたパスワードの正当性を確認できた場合に、ＵＥ９０に対してサービスを提供してもよい。 After the AKA process in step S13 is executed, the UE 90 can use the service provided in the NS system 110 by using the service key Ksv-A. For example, when the UE 90 accesses the device of the NS system 110, the UE 90 may transmit the password information or the like input from the user who operates the UE 90 to the device of the NS system 110. The device included in the NS system 110 may provide a service to the UE 90 when the validity of the transmitted password can be confirmed.

もしくは、ＮＳシステム１１０が有する装置は、ＵＥ９０に関するサービス鍵Ｋｓｖ−Ａを予め保持していてもよい。例えば、ＮＳシステム１１０が有する装置は、ＨＳＳ３０もしくはＡｕＣ４０からサービス鍵Ｋｓｖ−Ａを取得してもよい。ＮＳシステム１１０が有する装置は、ＡＫＡ処理を実行し、自装置が保持するサービス鍵Ｋｓｖ−Ａと、ＵＥ９０が保持するサービス鍵Ｋｓｖ−Ａとが一致する場合に、ＵＥ９０に対してサービスを提供してもよい。 Alternatively, the device included in the NS system 110 may hold the service key Ksv-A related to the UE 90 in advance. For example, the device included in the NS system 110 may acquire the service key Ksv-A from HSS30 or AuC40. The device of the NS system 110 executes AKA processing and provides a service to the UE 90 when the service key Ksv-A held by the own device and the service key Ksv-A held by the UE 90 match. You may.

図８においては、ステップＳ１２において、ＵＥ９０が、ＵＥ９０のＩＭＳＩ及びＮＳシステム１１０を示すＮＳＩＤを設定したAttach requestメッセージをＣＰＦ７０へ送信することを示している。一方、ＵＥ９０が利用することができるＮＳシステムが一つだけであり、ＨＳＳ３０において、ＵＥ９０が利用することができるＮＳシステムが加入者情報として管理されている場合、ＵＥ９０は、ＩＭＳＩのみを設定したAttach requestメッセージをＣＰＦ７０へ送信してもよい。ＵＥ９０が利用することができるＮＳシステムが複数ある場合、ＵＥ９０は、ＩＭＳＩ及び利用するＮＳシステムの識別情報を設定したAttach requestメッセージをＣＰＦ７０へ送信する。 In FIG. 8, in step S12, it is shown that the UE 90 transmits an Attach request message in which the IMSI of the UE 90 and the NSID indicating the NS system 110 are set to the CPF 70. On the other hand, when there is only one NS system that can be used by the UE 90 and the NS system that can be used by the UE 90 is managed as subscriber information in the HSS 30, the UE 90 is attached with only the IMSI set. A request message may be sent to the CPF 70. When there are a plurality of NS systems that can be used by the UE 90, the UE 90 sends an Attach request message that sets the identification information of the IMSI and the NS system to be used to the CPF 70.

図９を用いて、図８のステップＳ１３におけるＡＫＡ処理の詳細について説明する。はじめに、ＣＰＦ７０は、ＨＳＳ３０へAuthentication data requestメッセージを送信する（Ｓ２１）。Authentication data requestメッセージには、ＵＥ９０のＩＭＳＩ（International Mobile Subscriber Identity）、及び、ＵＥ９０が利用を希望するＮＳシステムを示すＮＳＩＤが含まれる。ＮＳＩＤは、例えば、ＮＳシステム１１０を示す識別情報である。 The details of the AKA process in step S13 of FIG. 8 will be described with reference to FIG. First, the CPF 70 sends an Authentication data request message to the HSS 30 (S21). The Authentication data request message includes the IMSI (International Mobile Subscriber Identity) of the UE 90 and the NS ID indicating the NS system that the UE 90 wants to use. The NSID is, for example, identification information indicating the NS system 110.

次に、ＨＳＳ３０は、ＡｕＣ４０へAuth data create requestメッセージを送信する（Ｓ２２）。Auth data create requestメッセージには、ＵＥ９０のＩＭＳＩ、及び、ＵＥ９０が利用を希望するＮＳシステムを示すＮＳＩＤが含まれる。図９においては、ＮＳＩＤは、ＮＳシステム１１０を示す識別情報であるとする。ＨＳＳ３０は、図６に示す情報を用いて、ＵＥ９０が指定するＮＳＩＤと関連付けられているＡｕＣを特定することができる。ここでは、ＨＳＳ３０は、ＮＳシステム１１０を示すＮＳＩＤを受信している。そのため、ＨＳＳ３０は、Auth data create requestメッセージの送信先を、図６に示す情報を用いて、ＡｕＣ４０と特定することができる。ＵＥ９０が、ＮＳＩＤを指定しなかった場合、ＨＳＳ３０は、予め定められたデフォルトＮＳシステムと関連付けられているＡｕＣを特定する。デフォルトＮＳシステムは、ＵＥ毎に予め定められていてもよく、ＨＳＳ３０において管理されている優先度に従って定められてもよい。優先度は、ＵＥ毎に定められてもよい。 Next, the HSS 30 sends an Auth data create request message to the AuC40 (S22). The Auth data create request message includes the IMSI of the UE 90 and the NSID indicating the NS system that the UE 90 wants to use. In FIG. 9, the NSID is assumed to be identification information indicating the NS system 110. The HSS 30 can identify the AuC associated with the NSID specified by the UE 90 using the information shown in FIG. Here, the HSS 30 has received an NSID indicating the NS system 110. Therefore, the HSS 30 can identify the destination of the Auth data create request message as AuC40 by using the information shown in FIG. If the UE 90 does not specify an NSID, the HSS 30 identifies the AuC associated with a predetermined default NS system. The default NS system may be predetermined for each UE or may be defined according to the priority managed in the HSS 30. The priority may be set for each UE.

ＵＥ９０が利用可能なＮＳシステムが１つのみであり、ＨＳＳ３０が、ＵＥ９０のＩＭＳＩと、ＵＥ９０が利用可能なＮＳシステムとを関連付ける情報を加入者情報として管理しているとする。この場合、ＨＳＳ３０は、ＣＰＦ７０から送信されるＩＭＳＩを用いて、ＵＥ９０が利用可能なＮＳシステムを特定することができる。ＨＳＳ３０は、ＵＥ９０が接続可能な複数のＮＳＩＤを加入者データとして管理している場合がある。この場合、ＨＳＳ３０は加入者データが示すすべてのＮＳＩＤに対応するＡｕＣ４０等へAuth data create requestメッセージを繰り返し送信してもかまわない。 It is assumed that there is only one NS system that can be used by the UE 90, and that the HSS 30 manages information that associates the IMSI of the UE 90 with the NS system that can be used by the UE 90 as subscriber information. In this case, the HSS 30 can use the IMSI transmitted from the CPF 70 to identify the NS system available to the UE 90. The HSS 30 may manage a plurality of NSIDs to which the UE 90 can be connected as subscriber data. In this case, the HSS 30 may repeatedly send an Auth data create request message to AuC40 or the like corresponding to all NSIDs indicated by the subscriber data.

次に、ＡｕＣ４０は、ＫＤＦ（Key Deriviation Function）を用いて、サービス鍵Ｋｓｖ−Ａを導出する（Ｓ２３）。ここで、図１０を用いて、ＡｕＣ４０のＮＳ鍵生成部４３における、ＫＤＦを用いたサービス鍵Ｋｓｖの導出処理について説明する。 Next, AuC40 derives the service key Ksv-A using KDF (Key Derivation Function) (S23). Here, with reference to FIG. 10, the derivation process of the service key Ksv using KDF in the NS key generation unit 43 of AuC40 will be described.

図１０は、ＫＤＦへ、マスター鍵Ｋ、ＮＳＩＤ、ＲＡＮＤ（Random number）、及び、ＳＱＮ（Sequence Number）が入力された結果、ＸＲＥＳ（Expected Response）、ＡＵＴＮ（Authentication token）、及び、サービス鍵Ｋｓｖが出力されることを示している。ＫＤＦは、例えば、HMAC-SHA-256等の導出関数が用いられる。ここで、ＫＤＦへ入力されるマスター鍵Ｋは、ＮＳシステム１１０に関連付けられているサービス鍵Ｋａとする。さらに、ＫＤＦから出力されるサービス鍵Ｋｓｖは、ＮＳシステム１１０において用いられるサービス鍵Ｋｓｖ−Ａとする。 In FIG. 10, as a result of inputting the master key K, NSID, RAND (Random number), and SQN (Sequence Number) into the KDF, the XRES (Expected Response), AUTON (Authentication token), and service key Ksv are obtained. Indicates that it will be output. For KDF, for example, a derivation function such as HMAC-SHA-256 is used. Here, the master key K input to the KDF is the service key Ka associated with the NS system 110. Further, the service key Ksv output from the KDF is the service key Ksv-A used in the NS system 110.

図９に戻り、ＡｕＣ４０は、ＨＳＳ３０へAuth data create responseメッセージを送信する（Ｓ２４）。Auth data create responseメッセージには、ＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ−Ａ、Ｋｓｖ−Ａ＿ＩＤ、及び、ＡＵＴＮが含まれる。Authentication data responseメッセージに含まれるＲＡＮＤは、ステップＳ２３において、Ｋｓｖ−Ａ等を生成する際に入力パラメータとして用いられたＲＡＮＤと同様である。ＸＲＥＳ、Ｋｓｖ−Ａ、及び、ＡＵＴＮは、ステップＳ２３において生成されたＸＲＥＳ、Ｋｓｖ−Ａ、及び、ＡＵＴＮと同様である。Ｋｓｖ−Ａ＿ＩＤは、Ｋｓｖ−Ａを識別する識別情報である。ＨＳＳ３０が、複数のＡｕＣにAuth data create requestメッセージを繰り返し送信した場合は、すべてのＡｕＣから対応するAuth data create responseメッセージが返送される事を確認し、その後、各Auth data create responseメッセージに含まれるＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ−Ａ、Ｋｓｖ−Ａ＿ＩＤ、及び、ＡＵＴＮを、対応するＮＳＩＤ毎にAuthentication data responseメッセージに設定する。 Returning to FIG. 9, AuC40 sends an Auth data create response message to HSS30 (S24). The Auth data create response message includes RAND, XRES, Ksv-A, Ksv-A_ID, and AUTN. The RAND included in the Authentication data response message is the same as the RAND used as an input parameter when generating Ksv-A or the like in step S23. XRES, Ksv-A, and AUTON are the same as XRES, Ksv-A, and AUTON generated in step S23. Ksv-A_ID is identification information that identifies Ksv-A. When the HSS30 repeatedly sends Auth data create request messages to multiple AuCs, it confirms that the corresponding Auth data create response messages are returned from all AuCs, and then it is included in each Auth data create response message. RAND, XRES, Ksv-A, Ksv-A_ID, and AUTON are set in the Authentication data response message for each corresponding NSID.

次に、ＨＳＳ３０は、ＣＰＦ７０へAuthentication data responseメッセージを送信する（Ｓ２５）。Authentication data responseメッセージには、ステップＳ２４において送信されたAuth data create responseメッセージに含まれていたＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ−Ａ、Ｋｓｖ−Ａ＿ＩＤ、及び、ＡＵＴＮが含まれる。ＲＡＮＤ、ＸＲＥＳ、Ｋｓｖ−Ａ、Ｋｓｖ−Ａ＿ＩＤ、及び、ＡＵＴＮは、ＮＳＩＤ毎に設定される場合もある。 Next, the HSS 30 transmits an Authentication data response message to the CPF 70 (S25). The Authentication data response message includes RAND, XRES, Ksv-A, Ksv-A_ID, and AUTN included in the Auth data create response message transmitted in step S24. RAND, XRES, Ksv-A, Ksv-A_ID, and AUTN may be set for each NSID.

次に、ＣＰＦ７０は、５ＧＲＡＮ４２を介してＵＥ９０へAuthentication requestメッセージを送信する（Ｓ２６）。Authentication requestメッセージには、ＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ−Ａ＿ＩＤが含まれる。ＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ−Ａ＿ＩＤは、ステップＳ２５においてＨＳＳ３０から受信したＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ−Ａ＿ＩＤである。ＵＥ９０が、Attach requestメッセージ（Ｓ１２）で複数のＮＳＩＤを設定した場合は、ＮＳＩＤ毎のＲＡＮＤ、ＡＵＴＮ、及び、Ｋｓｖ−Ａ＿ＩＤが設定される。 Next, the CPF 70 transmits an Authentication request message to the UE 90 via the 5G RAN 42 (S26). The Authentication request message includes RAND, AUTON, and Ksv-A_ID. The RAND, AUTN, and Ksv-A_ID are the RAND, AUTN, and Ksv-A_ID received from the HSS 30 in step S25. When the UE 90 sets a plurality of NSIDs in the Attach request message (S12), RAND, AUTN, and Ksv-A_ID for each NSID are set.

次に、ＵＥ９０は、ＫＤＦを用いて、サービス鍵Ｋｓｖ−Ａを導出する（Ｓ２７）。ここで、図１１を用いて、ＵＥ９０のＮＳ鍵生成部９２における、ＫＤＦを用いたサービス鍵Ｋｓｖの導出処理について説明する。 Next, the UE 90 derives the service key Ksv-A using the KDF (S27). Here, with reference to FIG. 11, the service key Ksv derivation process using the KDF in the NS key generation unit 92 of the UE 90 will be described.

図１１は、ＫＤＦへ、マスター鍵Ｋ、ＮＳＩＤ、ＲＡＮＤ、及び、ＡＵＴＮが入力された結果、ＲＥＳ（Response）、ＳＱＮ、及び、サービス鍵Ｋｓｖが出力されることを示している。ＫＤＦは、例えば、HMAC-SHA-256等の導出関数が用いられる。ここで、ＫＤＦへ入力されるマスター鍵Ｋは、ＮＳシステム１１０に関連付けられているサービス鍵Ｋａが用いられるとする。さらに、ＫＤＦから出力されるサービス鍵Ｋｓｖは、ＮＳシステム１１０において用いられるサービス鍵Ｋｓｖ−Ａとする。なお、ここでは、ＵＥ９０は、アクセスできるＮＳシステムが事前に決められており、そのＮＳシステムのＮＳＩＤをあらかじめ保持していることを前提としている。 FIG. 11 shows that the RES (Response), SQN, and service key Ksv are output as a result of inputting the master key K, NSID, RAND, and AUTON into the KDF. For KDF, for example, a derivation function such as HMAC-SHA-256 is used. Here, it is assumed that the service key Ka associated with the NS system 110 is used as the master key K input to the KDF. Further, the service key Ksv output from the KDF is the service key Ksv-A used in the NS system 110. Here, it is assumed that the UE 90 has a predetermined NS system that can be accessed, and holds the NSID of the NS system in advance.

図９に戻り、ＵＥ９０は、５ＧＲＡＮ８０を介してＣＰＦ７０へAuthentication responseメッセージを送信する（Ｓ２８）。Authentication responseメッセージには、ＲＥＳが含まれる。Authentication responseメッセージに含まれるＲＥＳは、ステップＳ２７において生成されたＲＥＳと同様である。Authentication requestメッセージ（Ｓ２６）に複数のＮＳＩＤが設定された場合は、ＮＳＩＤ毎のＲＥＳが設定される。 Returning to FIG. 9, the UE 90 transmits an Authentication response message to the CPF 70 via the 5G RAN 80 (S28). The Authentication response message includes RES. The RES included in the Authentication response message is the same as the RES generated in step S27. When a plurality of NSIDs are set in the Authentication request message (S26), the RES for each NSID is set.

次に、ＣＰＦ７０は、ステップＳ２５において受信したAuthentication data responseメッセージに含まれるＸＲＥＳと、ステップＳ２８において受信したAuthentication responseメッセージに含まれるＲＥＳとを比較する（Ｓ２９）。ステップＳ２９において、ＣＰＦ７０は、ＲＥＳとＸＲＥＳとが一致する場合、ＡｕＣ４０において生成されたＫｓｖ−Ａと、ＵＥ９０において生成されたＫｓｖ−Ａとが一致すると判定することができる。複数のＮＳＩＤが扱われる場合は、ＣＰＦ７０は、ＲＥＳとＸＲＥＳとの比較をＮＳＩＤ毎に実行される。ＣＰＦ７０は、ＲＥＳとＸＲＥＳとが一致した場合、ＲＥＳとＸＲＥＳとが一致したこと、もしくは、Ｋｓｖ−Ａに関する認証が成功したことをＨＳＳ３０へ通知する。さらに、ＨＳＳ３０は、Ｋｓｖ−Ａ＿ＩＤとＫｓｖ−ＡとをＮＳシステム１１０へ送信する。 Next, the CPF 70 compares the XRES included in the Authentication data response message received in step S25 with the RES included in the Authentication response message received in step S28 (S29). In step S29, when RES and XRES match, CPF70 can determine that Ksv-A generated in AuC40 and Ksv-A generated in UE90 match. When a plurality of NSIDs are handled, the CPF 70 performs a comparison between RES and XRES for each NSID. When the RES and the XRES match, the CPF 70 notifies the HSS 30 that the RES and the XRES match, or that the authentication for Ksv-A is successful. Further, the HSS 30 transmits Ksv-A_ID and Ksv-A to the NS system 110.

次に、ＵＥ９０に関するＡＫＡ処理がエラーとなる場合について説明する。例えば、ＡｕＣ４０は、Auth data create requestに設定されたＮＳＩＤを、ＵＥ９０が利用可能でない場合、Auth data create requestメッセージに対する応答メッセージとしてＡｕＣ４０は、cause値”No subscription to Network slice”を含むAuth data create errorメッセージをＨＳＳ３０に送信する。更に、ＨＳＳ３０は、cause値”No subscription to Network slice”を含むAuthentication data rejectメッセージをＣＰＦ７０に送信する。更に、ＣＰＦ７０は、cause値”Access to Network slice not allowed”を含むAuthentication failureメッセージをＵＥ９０に送信する。この場合、ＵＥ９０はAttach requestメッセージ（Ｓ１２）で設定したＮＳＩＤがオペレータネットワークで提供されない事を記憶する。また、この場合、ＵＥ９０は別のＮＳＩＤを設定し同一オペレータネットワークに向けてＡＴＴＡＣＨ手順を行ってもかまわない。 Next, a case where the AKA process related to the UE 90 causes an error will be described. For example, if the AuC40 uses the NSID set in the Auth data create request as the response message to the Auth data create request message when the UE 90 is not available, the AuC40 contains an Auth data create error including the cause value "No subscription to Network slice". Send a message to HSS30. Further, the HSS 30 sends an Authentication data reject message including the cause value "No subscription to Network slice" to the CPF 70. Further, the CPF 70 sends an Authentication failure message including the cause value "Access to Network slice not allowed" to the UE 90. In this case, the UE 90 remembers that the NSID set in the Attach request message (S12) is not provided in the operator network. Further, in this case, the UE 90 may set another NSID and perform the ATTACH procedure toward the same operator network.

また、ステップＳ２９の認証に失敗した場合、ＣＰＦ７０は、cause値”Network Slice Authentication failed” を含むAuthentication failureメッセージをＵＥ９０に送信する。この場合、ＵＥ９０はAttach requestメッセージ（Ｓ１２）で設定したＮＳＩＤがオペレータネットワークで提供されない事を記憶する。また、この場合、ＵＥ９０は別のＮＳＩＤを設定し同一オペレータネットワークに向けてＡＴＴＡＣＨ手順を行ってもかまわない。 If the authentication in step S29 fails, the CPF 70 sends an Authentication failure message including the cause value "Network Slice Authentication failed" to the UE 90. In this case, the UE 90 remembers that the NSID set in the Attach request message (S12) is not provided in the operator network. Further, in this case, the UE 90 may set another NSID and perform the ATTACH procedure toward the same operator network.

また、複数のＮＳＩＤに対して行われた認証について一部のＮＳＩＤのみに関する認証が成功した場合の動作について説明する。この場合、ＣＰＦ７０は、認証が失敗したとみなしＵＥ９０にその旨を通知し再ＡＴＴＡＣＨを促す場合と、認証されたＮＳＩＤのみに対して接続を許容する場合とがある。以下がそれぞれの場合の動作である。 In addition, the operation when the authentication for only some NSIDs is successful for the authentication performed for a plurality of NSIDs will be described. In this case, the CPF 70 may consider that the authentication has failed, notify the UE 90 to that effect, and prompt the UE 90 to re-ATTACH, or allow the connection only to the authenticated NSID. The following is the operation in each case.

認証が失敗したとみなしＵＥ９０にその旨を通知し再ＡＴＴＡＣＨを促す場合：
ＣＰＦ７０は、cause値”Network Slice Authentication failed” を含むAuthentication failureメッセージををＵＥ９０に送信する。この場合、ＣＰＦ７０は、各ＮＳＩＤの認証結果状況を示す”Authentication status list”をAuthentication failureメッセージに設定してもかまわない。この場合、ＵＥ９０は部分的に認証が成功したＮＳＩＤのみを設定し同一オペレータネットワークに向けてＡＴＴＡＣＨ手順を行ってもかまわない。When it is considered that the authentication has failed and the UE 90 is notified to that effect and urged to re-ATTACH:
The CPF 70 sends an Authentication failure message including the cause value “Network Slice Authentication failed” to the UE 90. In this case, the CPF 70 may set an "Authentication status list" indicating the authentication result status of each NSID in the Authentication failure message. In this case, the UE 90 may set only the NSID whose authentication is partially successful and perform the ATTACH procedure toward the same operator network.

認証されたＮＳＩＤのみに対して接続を許容する場合：
ＣＰＦ７０は、部分的に認証が成功したとしてcause値”Network Slice Authentication partially failed” を含むAuthentication responseメッセージををＵＥ９０に送信しても良い。この場合、ＣＰＦ７０は、各ＮＳＩＤの認証結果状況を示す”Authentication status list”をAuthentication responseメッセージに設定してもかまわない。この場合、ＵＥ９０は部分的に認証が成功したＮＳＩＤのみに対して認証が成功した事を認識する。この場合、ＵＥ９０は部分的に認証が成功したNetwork Sliceで提供されるサービスのみを享受してもかまわない。To allow connections only for authenticated NSIDs:
The CPF 70 may send an Authentication response message containing the cause value "Network Slice Authentication partially failed" to the UE 90 assuming that the authentication is partially successful. In this case, the CPF 70 may set an "Authentication status list" indicating the authentication result status of each NSID in the Authentication response message. In this case, the UE 90 recognizes that the authentication was successful only for the NSID that was partially successfully authenticated. In this case, the UE 90 may enjoy only the services provided by the Network Slice that has been partially authenticated.

次にＵＥ９０が、Attach requestメッセージ（Ｓ１２）に設定したＮＳＩＤに対する認証が成功した場合の動作について説明する。ＣＰＦ７０は、認証したサービス鍵Ｋｓｖを図２に示されるNetwork Sliceシステムに通知してもよい。更にNetwork Sliceシステムは、サービス鍵Ｋｓｖを利用して必要なサービス鍵を更に生成しても構わない。また、図２に示されるNetwork Sliceシステムは、ＨＳＳ３０と連動して更なる認証動作を行っても構わない。 Next, the operation when the UE 90 succeeds in authenticating the NSID set in the Attach request message (S12) will be described. The CPF 70 may notify the Network Slice system shown in FIG. 2 of the authenticated service key Ksv. Further, the Network Slice system may further generate a necessary service key by using the service key Ksv. Further, the Network Slice system shown in FIG. 2 may perform a further authentication operation in conjunction with the HSS 30.

また、ＨＳＳ３０は、ＵＥ９０のＩＭＳＩと、ＵＥ９０が利用可能なＮＳＩＤとを関連付けて管理していてもよい。この場合、ステップＳ２１において、ＨＳＳ３０は、Authentication data requestメッセージを受信する。Authentication data requestメッセージに設定されたＮＳＩＤを、ＵＥ９０が利用可能でない場合、ＨＳＳ３０は、Authentication data requestメッセージに対する応答メッセージとしてエラーメッセージを送信する。ＨＳＳ３０は、各ＡｕＣに関連付けデータを要求することができる。また、各ＡｕＣは、関連付けデータを更新した場合に、ＨＳＳ３０に更新したデータを送信することができる。例えば、各ＡｕＣは、図１２に示すように、ＩＭＳＩ、ＮＳＩＤ、及びアクセス権とを関連付けて管理してもよい。関連付けデータは、図１２に示すように、例えば、ＩＭＳＩ、ＮＳＩＤ、及びアクセス権とを関連付けたデータである。図１２は、ＩＭＳＩが００３であるＵＥは、ＮＳシステム１１０にはアクセスすることができるが、ＮＳシステム１２０及びＮＳシステム１３０にはアクセスすることができないことを示している。さらに、ＩＭＳＩが００４であるＵＥは、ＮＳシステム１４０及びＮＳシステム１５０にはアクセスすることができるが、ＮＳシステム１６０にはアクセスすることができないことを示している。各ＡｕＣは、図１２に示すデータを更新した場合、更新したデータをＨＳＳ３０へ送信する。 Further, the HSS 30 may manage the IMSI of the UE 90 in association with the NSID that can be used by the UE 90. In this case, in step S21, the HSS 30 receives the Authentication data request message. If the UE 90 cannot use the NSID set in the Authentication data request message, the HSS 30 sends an error message as a response message to the Authentication data request message. The HSS 30 can request associated data from each AuC. Further, each AuC can transmit the updated data to the HSS 30 when the association data is updated. For example, each AuC may be managed in association with the IMSI, NSID, and access right, as shown in FIG. As shown in FIG. 12, the association data is, for example, data in which the IMSI, the NSID, and the access right are associated with each other. FIG. 12 shows that the UE with the IMSI 003 can access the NS system 110 but not the NS system 120 and the NS system 130. Further, a UE having an IMSI of 004 indicates that it can access the NS system 140 and the NS system 150, but not the NS system 160. When each AuC updates the data shown in FIG. 12, the updated data is transmitted to the HSS 30.

（実施の形態３）
続いて、図１３を用いて本開示の実施の形態３にかかる通信システムの構成例について説明する。図１３は、ＵＥ９５が、ホーム網であるＨＰＬＭＮ（Home Public Land Mobile Network）１０１からＶＰＬＭＮ（Visited Public Land Mobile Network）１０２へ移動したことを示している。言い換えると、図１３は、ＵＥ９５が、ＨＰＬＭＮ１０１からＶＰＬＭＮ１０２へローミングしたことを示している。(Embodiment 3)
Subsequently, a configuration example of the communication system according to the third embodiment of the present disclosure will be described with reference to FIG. FIG. 13 shows that the UE 95 has moved from the HPLMN (Home Public Land Mobile Network) 101, which is a home network, to the VPLMN (Visited Public Land Mobile Network) 102. In other words, FIG. 13 shows that the UE 95 roamed from HPLMN 101 to VPLMN 102.

ＨＰＬＭＮ１０１は、ＨＳＳ３５、ＡｕＣ５１、ＡｕＣ５２、ＣＰＦ７１、ＤＥＡ（Diameter Edge Agent）７２、ＮＳシステム１１１、及び、ＮＳシステム１１２を有している。ＵＥ９５は、５ＧＲＡＮ８１を介してＨＰＬＭＮ１０１と通信を行う。また、ＶＰＬＭＮ１０２は、ＨＳＳ３６、ＡｕＣ６１、ＡｕＣ６２、ＣＰＦ７３、ＤＥＡ７４、ＮＳシステム１２１、及び、ＮＳシステム１２２を有している。ＵＥ９５は、５ＧＲＡＮ８２を介してＶＰＬＭＮ１０２と通信を行う。ＤＥＡ７２及びＤＥＡ７４は、Diameter信号を中継する装置である。ＤＥＡ７２及びＤＥＡ７４以外の構成については、図２に示す通信ネットワークと同様である。 HPLMN101 has HSS35, AuC51, AuC52, CPF71, DEA (Diameter Edge Agent) 72, NS system 111, and NS system 112. The UE 95 communicates with the HPLMN 101 via the 5G RAN 81. In addition, VPLMN102 has HSS36, AuC61, AuC62, CPF73, DEA74, NS system 121, and NS system 122. The UE 95 communicates with the VPLMN 102 via the 5G RAN 82. DEA72 and DEA74 are devices that relay Diameter signals. The configurations other than DEA72 and DEA74 are the same as those of the communication network shown in FIG.

ＵＥ９５が、ＨＰＬＭＮ１０１からＶＰＬＭＮ１０２へ移動した場合、ＶＰＬＭＮ１０２においてＡｔｔａｃｈ処理を実行する。この場合、ＵＥ９５は、図８のステップＳ１１及びＳ１２において説明したＡｔｔａｃｈ処理と同様に、５ＧＲＡＮ８２を介してＣＰＦ７３へ接続する。 When the UE 95 moves from the HPLMN 101 to the VPLMN 102, the Attach process is executed in the VPLMN 102. In this case, the UE 95 connects to the CPF 73 via the 5G RAN 82 in the same manner as the Attach process described in steps S11 and S12 of FIG.

次に、ＣＰＦ７３は、図８のステップＳ１３において、ＨＳＳ３６へ問い合わせた結果、ＵＥ９５がＨＰＬＭＮ１０１をホーム網とするローミング端末であると決定する。そのため、ＣＰＦ７３は、ＤＥＡ７４及びＤＥＡ７２を介してＣＰＦ７１に接続する。ＵＥ９５は、ＣＰＦ７３、ＤＥＡ７４、及びＤＥＡ７２を介して、ＣＰＦ７１との間において、ＡＫＡ処理を実行する。ＵＥ９５は、例えば、ＨＰＬＭＮ１０１におけるＮＳシステム１１１が提供するサービスを利用することを要望しているとする。この場合、ＵＥ９５は、ＣＰＦ７１との間においてＡＫＡ処理を実行し、認証が完了すると、例えば、ＮＳシステム１２１を介してＮＳシステム１１１と通信を行ってもよい。 Next, as a result of inquiring to the HSS 36 in step S13 of FIG. 8, the CPF 73 determines that the UE 95 is a roaming terminal having the HPLMN 101 as a home network. Therefore, the CPF 73 connects to the CPF 71 via the DEA 74 and DEA 72. The UE 95 executes an AKA process with the CPF 71 via the CPF 73, DEA 74, and DEA 72. It is assumed that the UE 95 requests to use the service provided by the NS system 111 in the HPLMN 101, for example. In this case, the UE 95 may execute the AKA process with the CPF 71, and when the authentication is completed, may communicate with the NS system 111 via, for example, the NS system 121.

ＶＰＬＭＮ１０２は、ローミング端末が利用可能なＮＳシステムとして、予めＮＳシステム１２１を定めていてもよい。もしくは、ＨＰＬＭＮ１０１のＮＳシステム１１１に対応するＶＰＬＭＮ１０２のＮＳシステム、および、ＨＰＬＭＮ１０１のＮＳシステム１１２に対応するＶＰＬＭＮ１０２のＮＳシステムが予め定められていてもよい。例えば、ＨＰＬＭＮ１０１のＮＳシステム１１１とＶＰＬＭＮ１０２のＮＳシステム１２１とを対応付け、ＨＰＬＭＮ１０１のＮＳシステム１１２とＶＰＬＭＮ１０２のＮＳシステム１２２とを対応付けてもよい。 The VPLMN 102 may define the NS system 121 in advance as an NS system that can be used by roaming terminals. Alternatively, the NS system of the VPLMN 102 corresponding to the NS system 111 of the HPLMN 101 and the NS system of the VPLMN 102 corresponding to the NS system 112 of the HPLMN 101 may be predetermined. For example, the NS system 111 of the HPLMN 101 and the NS system 121 of the VPLMN 102 may be associated with each other, and the NS system 112 of the HPLMN 101 and the NS system 122 of the VPLMN 102 may be associated with each other.

以上説明したように、ＵＥ９５は、ＨＰＬＭＮ１０１からＶＰＬＭＮ１０２へローミングした場合であっても、ＶＰＬＭＮ１０２を介してＨＰＬＭＮ１０１におけるＮＳシステムへアクセスすることができる。 As described above, the UE 95 can access the NS system in the HPLMN 101 via the VPLMN 102 even when roaming from the HPLMN 101 to the VPLMN 102.

続いて以下では、上述の複数の実施形態で説明されたUE９０、AuC４０〜６０、及び、ＨＳＳ３０の構成例について説明する。 Subsequently, the configuration examples of UE90, AuC40-60, and HSS30 described in the plurality of embodiments described above will be described below.

図１４は、UE９０及びＵＥ９５の構成例を示すブロック図である。Radio Frequency（RF）トランシーバ１１０１は、５ＧＲＡＮ８０、８１及び８２と通信するためにアナログRF信号処理を行う。RFトランシーバ１１０１により行われるアナログRF信号処理は、周波数アップコンバージョン、周波数ダウンコンバージョン、及び増幅を含む。RFトランシーバ１１０１は、アンテナ１１０２及びベースバンドプロセッサ１１０３と結合される。すなわち、RFトランシーバ１１０１は、変調シンボルデータ（又はOFDMシンボルデータ）をベースバンドプロセッサ１１０３から受信し、送信RF信号を生成し、送信RF信号をアンテナ１１０２に供給する。また、RFトランシーバ１１０１は、アンテナ１１０２によって受信された受信ＲＦ信号に基づいてベースバンド受信信号を生成し、これをベースバンドプロセッサ１１０３に供給する。 FIG. 14 is a block diagram showing a configuration example of UE90 and UE95. Radio Frequency (RF) transceiver 1101 performs analog RF signal processing to communicate with 5G RAN 80, 81 and 82. The analog RF signal processing performed by the RF transceiver 1101 includes frequency up-conversion, frequency down-conversion, and amplification. The RF transceiver 1101 is coupled with the antenna 1102 and the baseband processor 1103. That is, the RF transceiver 1101 receives the modulation symbol data (or OFDM symbol data) from the baseband processor 1103, generates a transmission RF signal, and supplies the transmission RF signal to the antenna 1102. Further, the RF transceiver 1101 generates a baseband reception signal based on the reception RF signal received by the antenna 1102, and supplies the baseband reception signal to the baseband processor 1103.

ベースバンドプロセッサ１１０３は、無線通信のためのデジタルベースバンド信号処理（データプレーン処理）とコントロールプレーン処理を行う。デジタルベースバンド信号処理は、(a) データ圧縮／復元、(b) データのセグメンテーション／コンカテネーション、(c) 伝送フォーマット（伝送フレーム）の生成／分解、(d) 伝送路符号化／復号化、(e) 変調（シンボルマッピング）／復調、及び(f) Inverse Fast Fourier Transform（IFFT）によるOFDMシンボルデータ（ベースバンドOFDM信号）の生成などを含む。一方、コントロールプレーン処理は、レイヤ１（e.g., 送信電力制御）、レイヤ２（e.g., 無線リソース管理、及びhybrid automatic repeat request（HARQ）処理）、及びレイヤ３（e.g., アタッチ、モビリティ、及び通話管理に関するシグナリング）の通信管理を含む。 The baseband processor 1103 performs digital baseband signal processing (data plane processing) and control plane processing for wireless communication. Digital baseband signal processing includes (a) data compression / restoration, (b) data segmentation / concatenation, (c) transmission format (transmission frame) generation / decomposition, and (d) transmission line coding / decoding. , (E) Modulation (symbol mapping) / demodulation, and (f) Generation of OFDM symbol data (baseband OFDM signal) by Inverse Fast Fourier Transform (IFFT). Control plane processing, on the other hand, includes layer 1 (eg, transmit power control), layer 2 (eg, radio resource management, and hybrid automatic repeat request (HARQ) processing), and layer 3 (eg, attach, mobility, and call management). Includes communication management of).

例えば、LTEおよびLTE-Advancedの場合、ベースバンドプロセッサ１１０３によるデジタルベースバンド信号処理は、Packet Data Convergence Protocol（PDCP）レイヤ、Radio Link Control（RLC）レイヤ、MACレイヤ、およびPHYレイヤの信号処理を含んでもよい。また、ベースバンドプロセッサ１１０３によるコントロールプレーン処理は、Non-Access Stratum（NAS）プロトコル、RRCプロトコル、及びMAC CEの処理を含んでもよい。 For example, for LTE and LTE-Advanced, digital baseband signal processing by the baseband processor 1103 includes signal processing at the Packet Data Convergence Protocol (PDCP) layer, Radio Link Control (RLC) layer, MAC layer, and PHY layer. It may be. The control plane processing by the baseband processor 1103 may also include processing of the Non-Access Stratum (NAS) protocol, RRC protocol, and MAC CE.

ベースバンドプロセッサ１１０３は、デジタルベースバンド信号処理を行うモデム・プロセッサ（e.g., Digital Signal Processor（DSP））とコントロールプレーン処理を行うプロトコルスタック・プロセッサ（e.g., Central Processing Unit（CPU）、又はMicro Processing Unit（MPU））を含んでもよい。この場合、コントロールプレーン処理を行うプロトコルスタック・プロセッサは、後述するアプリケーションプロセッサ１１０４と共通化されてもよい。 The baseband processor 1103 includes a modem processor (eg, Digital Signal Processor (DSP)) that performs digital baseband signal processing, a protocol stack processor (eg, Central Processing Unit (CPU)) that performs control plane processing, or a Micro Processing Unit. (MPU)) may be included. In this case, the protocol stack processor that performs the control plane processing may be shared with the application processor 1104 described later.

アプリケーションプロセッサ１１０４は、CPU、MPU、マイクロプロセッサ、又はプロセッサコアとも呼ばれる。アプリケーションプロセッサ１１０４は、複数のプロセッサ（複数のプロセッサコア）を含んでもよい。アプリケーションプロセッサ１１０４は、メモリ１１０６又は図示されていないメモリから読み出されたシステムソフトウェアプログラム（Operating System（OS））及び様々なアプリケーションプログラム（例えば、通話アプリケーション、WEBブラウザ、メーラ、カメラ操作アプリケーション、音楽再生アプリケーション）を実行することによって、ＵＥ９０及びＵＥ９５の各種機能を実現する。 The application processor 1104 is also referred to as a CPU, MPU, microprocessor, or processor core. The application processor 1104 may include a plurality of processors (a plurality of processor cores). The application processor 1104 is a system software program (Operating System (OS)) read from memory 1106 or a memory (not shown) and various application programs (eg, call application, web browser, mailer, camera operation application, music playback). By executing the application), various functions of the UE 90 and the UE 95 are realized.

いくつかの実装において、図１４に破線（１１０５）で示されているように、ベースバンドプロセッサ１１０３及びアプリケーションプロセッサ１１０４は、１つのチップ上に集積されてもよい。言い換えると、ベースバンドプロセッサ１１０３及びアプリケーションプロセッサ１１０４は、１つのSystem on Chip（SoC）デバイス１１０５として実装されてもよい。SoCデバイスは、システムLarge Scale Integration（LSI）またはチップセットと呼ばれることもある。 In some implementations, the baseband processor 1103 and the application processor 1104 may be integrated on one chip, as shown by the broken line (1105) in FIG. In other words, the baseband processor 1103 and the application processor 1104 may be implemented as one System on Chip (SoC) device 1105. SoC devices are sometimes referred to as system large scale integrations (LSIs) or chipsets.

メモリ１１０６は、揮発性メモリ若しくは不揮発性メモリ又はこれらの組合せである。メモリ１１０６は、物理的に独立した複数のメモリデバイスを含んでもよい。揮発性メモリは、例えば、Static Random Access Memory（SRAM）若しくはDynamic RAM（DRAM）又はこれらの組み合わせである。不揮発性メモリは、マスクRead Only Memory（MROM）、Electrically Erasable Programmable ROM（EEPROM）、フラッシュメモリ、若しくはハードディスクドライブ、又はこれらの任意の組合せである。例えば、メモリ１１０６は、ベースバンドプロセッサ１１０３、アプリケーションプロセッサ１１０４、及びSoC１１０５からアクセス可能な外部メモリデバイスを含んでもよい。メモリ１１０６は、ベースバンドプロセッサ１１０３内、アプリケーションプロセッサ１１０４内、又はSoC１１０５内に集積された内蔵メモリデバイスを含んでもよい。さらに、メモリ１１０６は、Universal Integrated Circuit Card（UICC）内のメモリを含んでもよい。 The memory 1106 is a volatile memory, a non-volatile memory, or a combination thereof. Memory 1106 may include a plurality of physically independent memory devices. Volatile memory is, for example, Static Random Access Memory (SRAM) or Dynamic RAM (DRAM), or a combination thereof. Non-volatile memory can be masked Read Only Memory (MROM), Electrically Erasable Programmable ROM (EEPROM), flash memory, or hard disk drive, or any combination thereof. For example, memory 1106 may include external memory devices accessible from baseband processor 1103, application processor 1104, and SoC 1105. The memory 1106 may include a built-in memory device integrated in the baseband processor 1103, in the application processor 1104, or in the SoC 1105. Further, the memory 1106 may include the memory in the Universal Integrated Circuit Card (UICC).

メモリ１１０６は、上述の複数の実施形態で説明されたＵＥ９０及びＵＥ９５による処理を行うための命令群およびデータを含むソフトウェアモジュール（コンピュータプログラム）を格納してもよい。いくつかの実装において、ベースバンドプロセッサ１１０３又はアプリケーションプロセッサ１１０４は、当該ソフトウェアモジュールをメモリ１１０６から読み出して実行することで、上述の実施形態で説明されたＵＥ９０及びＵＥ９５の処理を行うよう構成されてもよい。 The memory 1106 may store a software module (computer program) including instructions and data for performing processing by the UE 90 and the UE 95 described in the plurality of embodiments described above. In some implementations, the baseband processor 1103 or application processor 1104 may be configured to read the software module from memory 1106 and execute it to perform the processing of UE 90 and UE 95 described in the above embodiments. Good.

図１５は、ＡｕＣ４０、ＡｕＣ５０、ＡｕＣ５１、ＡｕＣ５２、ＡｕＣ６０、ＡｕＣ６１、ＡｕＣ６２、ＨＳＳ３０、ＨＳＳ３５、及び、ＨＳＳ３６（以下、ＡｕＣ４０等とする）の構成例を示すブロック図である。図１５を参照すると、ＡｕＣ４０等は、ネットワークインターフェース１２０１、プロセッサ１２０２、及びメモリ１２０３を含む。ネットワークインターフェース１２０１は、ネットワークノード（e.g., eNodeB１３０、MME、P-GW、）と通信するために使用される。ネットワークインターフェース１２０１は、例えば、IEEE 802.3 seriesに準拠したネットワークインタフェースカード（NIC）を含んでもよい。 FIG. 15 is a block diagram showing a configuration example of AuC40, AuC50, AuC51, AuC52, AuC60, AuC61, AuC62, HSS30, HSS35, and HSS36 (hereinafter referred to as AuC40 and the like). With reference to FIG. 15, AuC40 and the like include a network interface 1201, a processor 1202, and a memory 1203. Network interface 1201 is used to communicate with network nodes (e.g., eNodeB130, MME, P-GW,). The network interface 1201 may include, for example, an IEEE 802.3 series compliant network interface card (NIC).

プロセッサ１２０２は、メモリ１２０３からソフトウェア（コンピュータプログラム）を読み出して実行することで、上述の実施形態においてシーケンス図及びフローチャートを用いて説明されたＡｕＣ４０等の処理を行う。プロセッサ１２０２は、例えば、マイクロプロセッサ、MPU、又はCPUであってもよい。プロセッサ１２０２は、複数のプロセッサを含んでもよい。 The processor 1202 reads software (computer program) from the memory 1203 and executes it to perform processing such as AuC40 described using the sequence diagram and the flowchart in the above-described embodiment. Processor 1202 may be, for example, a microprocessor, MPU, or CPU. Processor 1202 may include a plurality of processors.

メモリ１２０３は、揮発性メモリ及び不揮発性メモリの組み合わせによって構成される。メモリ１２０３は、プロセッサ１２０２から離れて配置されたストレージを含んでもよい。この場合、プロセッサ１２０２は、図示されていないI/Oインタフェースを介してメモリ１２０３にアクセスしてもよい。 The memory 1203 is composed of a combination of a volatile memory and a non-volatile memory. Memory 1203 may include storage located away from processor 1202. In this case, processor 1202 may access memory 1203 via an I / O interface (not shown).

図１５の例では、メモリ１２０３は、ソフトウェアモジュール群を格納するために使用される。プロセッサ１２０２は、これらのソフトウェアモジュール群をメモリ１２０３から読み出して実行することで、上述の実施形態において説明されたＡｕＣ４０等の処理を行うことができる。 In the example of FIG. 15, memory 1203 is used to store software modules. The processor 1202 can perform processing such as AuC40 described in the above-described embodiment by reading these software module groups from the memory 1203 and executing them.

図１４及び図１５を用いて説明したように、上述の実施形態にＵＥ９０及びＵＥ９５、ＡｕＣ４０、ＡｕＣ５０、ＡｕＣ５１、ＡｕＣ５２、６０、ＡｕＣ６１、ＡｕＣ６２、ＨＳＳ３０、ＨＳＳ３５、及び、ＨＳＳ３６が有するプロセッサの各々は、図面を用いて説明されたアルゴリズムをコンピュータに行わせるための命令群を含む１又は複数のプログラムを実行する。このプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、Compact Disc Read Only Memory（CD-ROM）、CD-R、CD-R/W、半導体メモリ（例えば、マスクROM、Programmable ROM（PROM）、Erasable PROM（EPROM）、フラッシュROM、Random Access Memory（RAM））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。 As described with reference to FIGS. 14 and 15, each of the processors included in the UE 90 and UE 95, AuC40, AuC50, AuC51, AuC52, 60, AuC61, AuC62, HSS30, HSS35, and HSS36 in the above embodiment Execute one or more programs including a set of instructions for causing a computer to perform the algorithm described with reference to the drawings. This program can be stored and supplied to a computer using various types of non-transitory computer readable media. Non-transitory computer-readable media include various types of tangible storage media. Examples of non-temporary computer-readable media are magnetic recording media (eg flexible disks, magnetic tapes, hard disk drives), magneto-optical recording media (eg magneto-optical disks), Compact Disc Read Only Memory (CD-ROM), CD- Includes R, CD-R / W, semiconductor memory (eg, mask ROM, Programmable ROM (PROM), Erasable PROM (EPROM), flash ROM, Random Access Memory (RAM)). The program may also be supplied to the computer by various types of transient computer readable media. Examples of temporary computer-readable media include electrical, optical, and electromagnetic waves. The temporary computer-readable medium can supply the program to the computer via a wired communication path such as an electric wire and an optical fiber, or a wireless communication path.

なお、本開示は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。また、本開示は、それぞれの実施の形態を適宜組み合わせて実施されてもよい。 The present disclosure is not limited to the above embodiment, and can be appropriately modified without departing from the spirit. Further, the present disclosure may be carried out by appropriately combining the respective embodiments.

以上、実施の形態を参照して本願開示を説明したが、本願開示は上記によって限定されるものではない。本願開示の構成や詳細には、開示のスコープ内で当業者が理解し得る様々な変更をすることができる。 Although the disclosure of the present application has been described above with reference to the embodiments, the disclosure of the present application is not limited to the above. Various changes that can be understood by those skilled in the art can be made to the structure and details of the disclosure of the present application within the scope of the disclosure.

この出願は、２０１６年７月１５日に出願された日本出願特願２０１６−１４０７６０を基礎とする優先権を主張し、その開示の全てをここに取り込む。 This application claims priority on the basis of Japanese application Japanese Patent Application No. 2016-140760 filed on July 15, 2016 and incorporates all of its disclosures herein.

１０加入者情報管理装置
２０セキュリティ装置
３０ＨＳＳ
３１通信部
３２情報管理部
３５ＨＳＳ
３６ＨＳＳ
４０ＡｕＣ
４１通信部
４２セキュリティ情報管理部
４３ＮＳ鍵生成部
５０ＡｕＣ
５１ＡｕＣ
５２ＡｕＣ
６０ＡｕＣ
６１ＡｕＣ
６２ＡｕＣ
７０ＣＰＦ
７１ＣＰＦ
７２ＤＥＡ
７３ＣＰＦ
７４ＤＥＡ
８０５ＧＲＡＮ
８１５ＧＲＡＮ
８２５ＧＲＡＮ
９０ＵＥ
９１通信部
９２ＮＳ鍵生成部
９５ＵＥ
１００コアネットワーク
１０１ＨＰＬＭＮ
１０２ＶＰＬＭＮ
１１０ＮＳシステム
１１１ＮＳシステム
１１２ＮＳシステム
１２０ＮＳシステム
１２１ＮＳシステム
１２２ＮＳシステム
１３０ＮＳシステム10 Subscriber information management device 20 Security device 30 HSS
31 Communication Department 32 Information Management Department 35 HSS
36 HSS
40 AuC
41 Communication Department 42 Security Information Management Department 43 NS Key Generation Department 50 AuC
51 AuC
52 AuC
60 AuC
61 AuC
62 AuC
70 CPF
71 CPF
72 DEA
73 CPF
74 DEA
80 5G RAN
81 5G RAN
825G RAN
90 UE
91 Communication unit 92 NS key generation unit 95 UE
100 core network 101 HPLMN
102 VPLMN
110 NS system 111 NS system 112 NS system 120 NS system 121 NS system 122 NS system 130 NS system

Claims

A communication method for communication systems
The core network system receives a first message containing the identities of a plurality of network slice systems from a communication terminal, and receives a first message.
The core network system authenticates the communication terminal for each of the IDs of the plurality of network slice systems.
A communication method in which the core network system transmits a second message including whether or not the authentication is successful to the communication terminal.

The communication method according to claim 1.
When the authentication fails, the core network system transmits a cause value related to the failure of the authentication to the communication terminal.

The communication method according to claim 1.
The core network system includes a server device and
The server device has subscriber information regarding authentication for the plurality of network slice systems.

A communication method for a core network system that includes multiple network slice systems that provide services to communication terminals.
Upon receiving the first message including the IDs (Identities) of the plurality of network slice systems from the communication terminal,
The communication terminal is authenticated for each of the IDs of the plurality of network slice systems.
A communication method for transmitting a second message including whether or not the authentication is successful to the communication terminal.

The communication method according to claim 4.
When the authentication fails, the cause value related to the failure is transmitted to the communication terminal.

The communication method according to claim 4.
The core network system includes a server device and
The server device has subscriber information regarding authentication for the plurality of network slice systems.

A communication method used for communication terminals.
A first message containing the identities of multiple network slice systems is sent to the core network system and
A communication method for receiving a second message including whether or not the authentication is successful from the core network system that has authenticated for each of the IDs of the plurality of network slice systems.

The communication method according to claim 7.
When the authentication fails, a cause value related to the authentication failure is received from the core network system.